DNSSEC 在技术层面已获共识，但荷兰 .nl 区域的实际部署数据显示，仅 49% 域名签名、银行业近乎忽略、仅 1/5 接入商支持验证，安全链条因单一环节缺失而失效。本文从微观经济视角剖析注册商、接入商等参与者的成本收益失衡，揭示价格竞争与激励错位如何阻碍大规模落地。
注册商市场的商品化困境
荷兰约 1,350 家注册商中，仅约 1/10 默认提供 DNSSEC 签名域名。域名注册属低利润商品市场，多作为虚拟主机、邮件等传统 ISP 业务的附加项。KPN、GoDaddy 等大型服务商以低价吸引客户，DNSSEC 仅作为可选项并伴随额外成本或复杂度（原文未给出具体数据）。注册人选购时以价格与可用性为首要标准，安全属性几乎不纳入考量；甚至难以在购买前判断某注册商是否支持 DNSSEC。这种信息不对称与价格导向，使安全投入无法转化为市场溢价。
激励错位与安全的非传递性
SIDN 研究显示，公共部门域名签名率高，银行业却近乎零采用；接入商端仅 1/5 支持 DNSSEC 验证。DNSSEC 的安全收益要求注册商签名、注册人启用、接入商验证三环节完整，任一缺失即导致链条断裂。然而，注册商承担签名成本却难分享收益；接入商部署验证器增加运维负担，直接受益者却是终端用户；注册人缺乏技术能力评估安全价值。这种成本与收益分离的“激励错位”，正是微观经济学中典型的市场失灵表现。
开源工具降本仍难触发规模效应
开源软件已将 DNSSEC 部署成本降至“合理水平”（原文未给出具体数据），且伪造域名导致的可用性问题近年减少。但技术就绪度未能自动转化为采用率：注册商若无差异化定价能力，安全投入即成沉没成本；接入商缺乏监管或市场压力，验证部署动力不足。若不引入外部机制（如监管强制、保险费率挂钩、大客户采购标准），单纯依赖市场竞争难以跨越临界点。
对运维与网络工程师而言，DNSSEC 的技术实现已非瓶颈，关键在于识别供应链各环节的激励断层。在选型注册商、配置解析器、推动上游部署时，需将经济约束纳入风险模型：确认注册商默认签名、验证接入商支持 DNSSEC、评估自建验证器的运维成本。唯有打通成本承担方与收益获得方，安全链条才能真正闭合。
原文: APNIC Blog（2018-04-24）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog